Umowa Dropbox Business

Opublikowano: 14 września 2016 r.

Niniejsza Umowa Dropbox Business („Umowa”) zostaje zawarta pomiędzy Dropbox International Unlimited Company, jeśli Twoja organizacja zlokalizowana jest poza terenem Stanów Zjednoczonych, Kanady i Meksyku („Ameryka Północna”) lub, jeśli Twoja organizacja zlokalizowana jest na terenie Stanów Zjednoczonych, pomiędzy Dropbox Inc., firmą zarejestrowaną w stanie Delaware („Dropbox”), oraz organizacją zgadzającą się na przedstawione warunki („Klient”). Niniejsza Umowa reguluje dostęp i korzystanie z oprogramowania i usług Dropbox Business (łącznie jako „Dropbox Business”), jak również Usługi w fazie beta, które są Ci udostępnione wraz z Dropbox Business („Usługi”). Klikając przycisk „Zgadzam się”, podpisując umowę na korzystanie z Usług lub poprzez korzystanie z Usług, użytkownik wyraża zgodę na postanowienia niniejszej Umowy jako Klient.

Zważywszy że Dropbox, Inc., w imieniu Klienta, przetwarza Dane Klienta, które podlegają przepisom krajowym wdrażającym dyrektywę UE w sprawie ochrony danych (95/46/WE) („Ustawa o ochronie danych UE”), poprzez kliknięcie „Zgadzam się”, zgadzasz się również na stosowanie przez Dropbox, Inc. standardowych klauzul umownych w zakresie przekazywania danych osobowych podmiotom przetwarzającym określonym w Załączniku 1.

Jeśli zgadzasz się na niniejszą Umowę oraz Załącznik 1 (jeśli dotyczy) w celu korzystania przez organizację z oferowanych Usług, oznacza to, że zgadzasz się z postanowieniami Umowy w imieniu tej organizacji. Musisz mieć upoważnienie do reprezentowania organizacji w zakresie tych warunków. W przeciwnym razie nie wolno Ci korzystać z Usług.

1. Usługi.
   1. Świadczenie usług. Klient i użytkownicy konta Usług Klienta („Użytkownicy końcowi”), mogą uzyskiwać dostęp do Usług i korzystać z nich zgodnie z postanowieniami niniejszej Umowy.
   2. Siedziby i przetwarzanie danych. Dropbox będzie korzystać z co najmniej przemysłowych standardów technicznych oraz środków bezpieczeństwa dla organizacji w celu przesyłania, przechowywania i przetwarzania Danych Klienta. Środki te mają na celu ochronę integralności Danych Klienta i ochronę przed nieuprawnionym lub bezprawnym dostępem do Danych Klienta, ich wykorzystywaniem i przetwarzaniem. Klient zgadza się, aby Dropbox mógł przenosić, przechowywać i przetwarzać Dane Klienta w USA i miejscach innych niż kraj Klienta. W zakresie, w jakim Dane Klienta są przedmiotem rozporządzenia w sprawie ochrony danych w UE i są przetwarzane przez Dropbox jako podmiot przetwarzający dane, działający w imieniu Klienta (jako kontroler danych), Dropbox będzie wykorzystywał i przetwarzał owe Dane Klienta zgodnie z wytycznymi Klienta, mając na celu świadczenie Usług i wypełnienie obowiązków Dropbox wynikających z Umowy. „Dane Klienta” oznaczają Przechowywane dane i Dane konta. „Przechowywane dane” oznaczają pliki i ustrukturalizowane dane przesyłane do Usług przez Klienta lub Użytkowników Końcowych. „Dane konta” oznaczają informacje o koncie i informacje kontaktowe przesłane do Usług przez Klienta lub Użytkowników Końcowych.
   3. Zmiany w Usługach. Dropbox może od czasu do czasu aktualizować Usługi. Jeśli Dropbox dokona zmian Usług, które w sposób istotny ograniczają ich funkcjonalność, Dropbox poinformuje o tym fakcie Klienta za pośrednictwem adresu e-mail powiązanego z jego kontem.
   4. Oprogramowanie. Niektóre z naszych Usług pozwalają Klientowi na pobranie oprogramowania Dropbox, które może aktualizować się automatycznie. Klient może korzystać z Oprogramowania tylko w celu uzyskania dostępu do Usług. Jeśli dowolny składnik Oprogramowania jest oferowany w ramach licencji open source, Dropbox udostępni tę licencję Klientowi, a postanowienia tej licencji mogą wyraźnie zastąpić niektóre z Warunków niniejszej Umowy.
   5. Usługi beta. Dropbox raz na jakiś czas udostępnia produkty i funkcje, które nadal są testowane i oceniane. Niniejsze produkty i funkcje są identyfikowane jako alfa, beta, podgląd, wcześniejszy dostęp, lub ewaluacja (lub przy użyciu słów lub wyrażeń o podobnym znaczeniu) (łącznie jako „Usługi beta”). Niezależnie od innych postanowień zawartych w niniejszej Umowie lub w Wykazie 1. następujące warunki mają zastosowanie do wszystkich Usług beta: (a) możesz używać lub odmówić używania jakichkolwiek Usług beta; (b) Usługi beta mogą nie być obsługiwane i mogą ulec zmianie w dowolnym czasie i bez powiadomienia Użytkownika; (c) Usługi beta mogą nie być tak niezawodne ani dostępne jak usługa Dropbox Business; (d) Usługi beta nie podlegają takim samych miarom bezpieczeństwa i audytu jak Dropbox Business; oraz (e) Dropbox NIE PONOSI ŻADNEJ ODPOWIEDZIALNOŚCI WYNIKAJĄCEJ LUB POZOSTAJĄCEJ W ZWIĄZKU Z USŁUGAMI BETA – UŻYWASZ ICH NA WŁASNE RYZYKO.
2. Zobowiązania Klienta.
   1. Zgodność. Klient jest odpowiedzialny za korzystanie z Usługi przez Użytkowników końcowych. Klient i jego Użytkownicy końcowi muszą korzystać z Usług zgodnie z Zasadami dopuszczalnego użytkowania. Klient uzyska od Użytkownika końcowego wszelkie niezbędne zgody, aby umożliwić Administratorom podejmowanie działań określonych w niniejszej Umowie i umożliwić dostarczanie Usług przez Dropbox. Klient będzie przestrzegać praw i przepisów mających zastosowanie do korzystania przez Klienta z Usług, jeśli takowe istnieją.
   2. Zarządzanie Usługami przez Klienta. Klient może przypisać Użytkownikom końcowym rolę „Administratorów” za pomocą konsoli administratora. Administrator może mieć dostęp do Danych Klienta, może je ujawniać, ograniczać lub usuwać w obrębie albo z poziomu kont Usług. Administrator może monitorować, ograniczyć lub odebrać dostęp do kont Usług. Dropbox nie ponosi odpowiedzialności za wewnętrzne zarządzanie czy administrowanie Usługami. Klient jest odpowiedzialny za: (i) zachowanie poufności haseł i kont Administratora, (ii) zarządzanie dostępem do kont Administratora oraz (iii) zapewnienie, że korzystanie z Usług przez Administratorów będzie zgodne z niniejszą Umową. Klient przyjmuje do wiadomości, że jeśli Klient nabywa Usługi przez resellerów i wyznacza osobę przez niego oddelegowaną jako Administratora konta Usług Klienta, oznacza to, że reseller może mieć kontrolę nad informacjami dotyczącymi konta, w tym Danymi Klienta oraz dostępem do konta Usług Klienta, jak opisano to powyżej.
   3. Nieautoryzowane użycie i dostęp. Klient zobowiązany jest zapobiegać nieupoważnionemu korzystaniu z Usług przez Użytkowników końcowych i zakończyć jakiekolwiek nieupoważnione korzystanie lub dostępowanie Usług. Usługi nie są przeznaczone są dla osób poniżej 13 roku życia. Klient zapewni, że z Usług korzystają jedynie osoby, które ukończyły 13 lat. Klient niezwłocznie poinformuje Dropbox o wszelkich próbach nieupoważnionego użycia lub dostępu do Usług.
   4. Ograniczone użycie. Klient nie będzie (i) sprzedawać, odsprzedawać lub wynajmować Usług, (ii) korzystać z Usług do działań, w których użycie lub awaria Usług może prowadzić do uszkodzeń fizycznych, śmierci lub uszkodzenia ciała, ani (iii) dokonywać na Usługach inżynierii wstecznej, ani próbować lub pomagać komuś w wykonaniu tych działań, chyba że ograniczenie to jest zakazane przez prawo.
   5. Żądania Stron trzecich.
      1. „Żądanie strony trzeciej” oznacza prośbę strony trzeciej o udostępnienie danych o użytkowaniu Usług przez Użytkownika końcowego, w tym informacji z konta Użytkownika końcowego lub od niego albo z konta Usług Użytkownika. Żądania strony trzeciej mogą obejmować ważne nakazy rewizji, nakazy sądowe, wezwania do stawienia się w sądzie lub inne żądania, w których sprawie Użytkownicy końcowi wyrazili pisemną zgodę na ujawnienie.
      2. Klient zobowiązany jest reagować na wnioski Strony trzeciej poprzez swój własny dostęp do informacji. Klient będzie dążyć do uzyskania informacji niezbędnych do reagowania na wniosek Strony trzeciej i skontaktuje się z Dropbox tylko wtedy, gdy nie może uzyskać takiej informacji, mimo należytych wysiłków.
      3. Dropbox dołoży wszelkich uzasadnionych biznesowo starań w zakresie dopuszczonym przez prawo oraz warunki regulujące Wniosek strony trzeciej, aby: (A) należycie zawiadomić Klienta o otrzymaniu wniosku Strony trzeciej przez Dropbox; (B) działać w zgodzie z uzasadnionym biznesowo wnioskiem Klienta w zakresie wysiłków podjętych, aby odrzucić Wniosek strony trzeciej; oraz (C) dostarczyć Klientowi informacji lub narzędzi w celu udzielenia odpowiedzi na Wniosek strony trzeciej (jeśli Klient nie ma innej możliwości uzyskania informacji). W razie nieudzielenia należytej odpowiedzi na Wniosek Strony trzeciej przez Klienta Dropbox może udzielić odpowiedzi, ale nie jest do tego zobowiązany.
3. Usługi Stron trzecich. Jeżeli Klient korzysta z usług stron trzecich (np. usługi korzystającej z API Dropbox) w ramach Usług, to (a) Dropbox nie ponosi odpowiedzialności za jakąkolwiek czynność lub pominięcie dokonane przez Stronę trzecią, w tym wykorzystanie lub dostęp do Danych Klienta przez stronę trzecią; oraz (b) Dropbox nie obejmuje gwarancją ani pomocą techniczną jakichkolwiek usług świadczonych przez Stronę trzecią.
4. Zawieszenie
   1. Konta Użytkownika końcowego przez Dropbox. Jeżeli Użytkownik końcowy (i) naruszy postanowienia niniejszej Umowy lub; (ii) korzysta z Usług, w sposób, który może skutkować odpowiedzialnością Dropbox, Dropbox może wystąpić do Klienta o zawieszenie lub zamknięcie konta Użytkownika końcowego. Jeśli Klient nie zawiesi ani nie zamknie konta Użytkownika końcowego, firma Dropbox może zrobić to sama.
   2. Zagrożenia bezpieczeństwa. Nie ograniczając postanowień niniejszej Umowy, w razie zagrożenia bezpieczeństwa Dropbox może automatycznie zawiesić dostęp do Usług. Dropbox dołoży wszelkich starań, aby zawęzić zakres zawieszenia do niezbędnego w celu zapobieżenia lub usunięcia zagrożenia. „Zagrożenie bezpieczeństwa ” oznacza: (i) korzystanie z Usług, które zakłóca lub może zakłócić działanie Usług, korzystanie z Usług przez innych klientów lub infrastruktury wykorzystywanej do świadczenia Usług oraz (ii) nieautoryzowany dostęp stron trzecich do Usług.
5. Prawa własności intelektualnej.
   1. Zastrzeżenie praw. Z wyjątkiem sytuacji wyraźnie tu określonych, niniejsza Umowa nie przyznaje (i) Dropbox jakichkolwiek praw własności intelektualnej do Danych Klienta lub (ii) Klientowi jakichkolwiek praw własności intelektualnej do Usług lub znaków towarowych Dropbox i jego cech marki. „Prawa własności intelektualnej” oznaczają obecne i przyszłe prawa zastrzeżone patentem na całym świecie, prawa autorskie, tajemnice handlowe, znaki towarowe, prawa moralne i inne podobne prawa.
   2. Ograniczone zezwolenie. Klient przyznaje Dropbox tylko ograniczone prawa, które są z uzasadnionych względów konieczne do świadczenia przez Dropbox usług (jak np. hosting Przechowywanych Danych). Pozwolenie to obejmuje również nasze podmioty stowarzyszone i zaufane strony trzecie, z którymi Dropbox współpracuje, aby świadczyć Usługi (np. serwis transakcji płatniczych stosowany do opłacania należności).
   3. Sugestie. Dropbox może zastrzegać sobie prawo w dowolnym celu do dowolnego używania, modyfikowania i dołączania do produktów licencji, sublicencji, opinii, komentarzy czy sugestii wykorzystania wysłanych przez Klienta lub Użytkowników końcowych lub opublikowanych na forach Dropbox, bez żadnych zobowiązań względem Klienta.
   4. Lista Klientów. Dropbox może umieścić nazwę Klienta na liście klientów Dropbox w witrynie Dropbox lub w materiałach promocyjnych.
6. Opłaty i płatności.
   1. Opłaty. Klient zobowiązany jest do uiszczenia stosownej opłaty i upoważnia Dropbox lub swojego resellera do pobrania wszystkich odpowiednich płatności za pomocą określonej przez Klienta metody. Opłaty nie podlegają zwrotowi z wyjątkiem przypadków przewidzianych przez prawo. Klient odpowiada za dostarczenie Dropbox lub swojemu resellerowi prawidłowych danych rozliczeniowych i kontaktowych. Dropbox może zawiesić lub zakończyć świadczenie Usług, jeśli przekroczony został termin płatności.
   2. Automatyczne przedłużenie Umowy i Okresy próbne. JEŻELI KLIENT WYBRAŁ OPCJĘ AUTOMATYCZNEGO PRZEDŁUŻENIA KONTA LUB KORZYSTA Z OKRESU PRÓBNEGO, DROPBOX (LUB RESELLER KLIENTA) MOŻE AUTOMATYCZNIE POBRAĆ OPŁATĘ NA ZAKOŃCZENIE OKRESU PRÓBNEGO LUB Z TYTUŁU PRZEDŁUŻENIA UMOWY, O ILE KLIENT NIE POWIADOMI DROPBOX (LUB RESELLERA) O ZAMIARZE ANULOWANIA LUB WYŁĄCZENIA OPCJI AUTOMATYCZNEGO PRZEDŁUŻENIA UMOWY. Dropbox ma prawo zmiany opłat za Usługę na podstawie zawiadomienia wysłanego przynajmniej 30 dni przed datą kolejnej opłaty.
   3. Podatki. Klient odpowiada za zapłatę wszelkich podatków. Dropbox lub reseller Klienta pobierze należny podatek, kiedy będzie to wymagane. Jeśli prawo wymaga od Klienta potrącenia podatku, musi on dostarczyć Dropbox lub resellerowi Klienta oficjalne potwierdzenie wpływów podatkowych lub inne odpowiednie dokumenty.
   4. Zamówienia. Jeśli Klient wymaga złożenia zamówienia lub użycia numeru zamówienia, to Klient (i) musi podać numer zamówienia w momencie zakupu oraz (ii) zgadza się, że wszelkie warunki zawarte w zamówieniu Klienta nie mają zastosowania do niniejszej umowy i są nieważne. Jeśli Klient dokonuje zakupu za pośrednictwem resellera, to wszelkie warunki i postanowienia ze strony resellera Klienta lub zlecenie zakupu między Klientem i jego resellerem, które są w sprzeczności z treścią umowy Dropbox Business są nieważne.
7. Czas obowiązywania i rozwiązanie Umowy.
   1. Czas obowiązywania. Niniejsza Umowa obowiązuje do czasu wygaśnięcia lub zakończenia subskrypcji Usług Klienta lub do momentu rozwiązania Umowy.
   2. Wypowiedzenie Umowy w związku z naruszeniem jej postanowień. Firma Dropbox lub Klient mogą zakończyć niniejszą Umowę jeśli: (i) druga strona istotnie naruszy umowę i nie usunie tego naruszenia w ciągu 30 dni od otrzymania pisemnego zawiadomienia lub (ii) druga strona zakończy działalność lub zostanie wobec niej wszczęte postępowanie upadłościowe, które nie zostanie odrzucone w ciągu 90 dni.
   3. Skutki rozwiązania Umowy. Jeżeli niniejsza Umowa zostanie rozwiązana to: (i) prawa przyznane przez Dropbox Klientowi natychmiast przestają mieć zastosowanie (poza wyjątkami określonymi w tej sekcji), (ii) Dropbox może zapewnić Klientowi dostęp do jego konta na wówczas obowiązujących warunkach finansowych tak, aby Klient mógł wyeksportować przechowywane dane; oraz, że (iii) po rozsądnym z handlowego punktu widzenia terminie Dropbox może usunąć Przechowywane Dane dotyczące konta Klienta. Poniższe sekcje nadal mają zastosowanie po wygaśnięciu lub rozwiązaniu niniejszej Umowy: 2 (e) (Żądania stron trzecich), 5 (Prawa własności intelektualnej), 6 (Opłaty i płatności), 7 (c) (Skutki wypowiedzenia), 8 (Odszkodowanie) , 9 (Zrzeczenia odpowiedzialności), 10 (Ograniczenie odpowiedzialności), 11 (Spory) i 12 (Różne).
8. Odszkodowanie.
   1. Od Klienta. Klient będzie zabezpieczać, bronić i chronić Dropbox przed wszelkimi zobowiązaniami, szkodami i kosztami (w tym kosztami ugody i uzasadnionym wynagrodzeniem prawników) wynikającymi z roszczeń stron trzecich przeciwko Dropbox i jego podmiotów stowarzyszonych w zakresie: (i) Danych Klienta; (ii) korzystania z Usług przez Klienta w sposób niezgodny z postanowieniami niniejszej Umowy; lub (iii) korzystania z Usług przez Użytkowników końcowych z pogwałceniem niniejszej Umowy.
   2. Od Dropbox. Dropbox będzie zabezpieczać, bronić i chronić Klienta przed wszelkimi zobowiązaniami, szkodami i kosztami (w tym kosztami bankowymi i uzasadnionym wynagrodzeniem prawników) wynikającymi z roszczeń osób trzecich w zakresie opartym na założeniu, że technologia użyta przez Dropbox do świadczenia Usług na rzecz Klienta narusza lub sprzeniewierza jakiekolwiek prawa autorskie, tajemnice handlowe, patenty obowiązujące w USA lub znaki towarowe stron trzecich. W żadnym wypadku Dropbox nie ma żadnych zobowiązań ani nie ponosi odpowiedzialności na mocy niniejszej sekcji, wynikającej z: (i) korzystania z wszelkich usług w zmodyfikowanej formie lub w połączeniu z materiałami, niedostarczonymi przez Dropbox oraz (ii) wszelkich treści, informacji lub danych dostarczonych przez Klienta, Użytkowników końcowych lub inne osoby trzecie.
   3. Potencjalne naruszenia. Jeżeli Dropbox uważa, że Usługi naruszają lub mogą naruszać Prawa własności intelektualnej stron trzecich, ma prawo: (i) uzyskać dla Klienta prawo do kontynuowania świadczenia usług, na koszt Dropbox, (ii) dostarczyć funkcję zamienną, która nie narusza tych praw; lub (i) zmodyfikować Usługi, tak aby nie naruszały tych praw. Jeśli Dropbox nie wierzy, że opisane możliwości znajdują uzasadnienie biznesowe, może zawiesić lub zaprzestać świadczenia kwestionowanych Usług Klientowi (za proporcjonalnym zwrotem poniesionych przez Klienta kosztów przedpłaconych).
   4. Postanowienia ogólne. Strona ubiegająca się o zadośćuczynienie zawiadomi drugą stronę o swoich roszczeniach i zobowiązuje się do współpracy z drugą stroną w celu obrony roszczenia. Strona wypłacająca odszkodowanie ma pełną władzę i prawo do obrony, z wyjątkiem: (i) sytuacji, kiedy jakiekolwiek uzgodnienia wymagają od strony dochodzącej odszkodowania uzyskania od drugiej strony jej uprzedniej zgody na piśmie, aby uniknąć bezzasadnego wstrzymania lub opóźnienia wydania takiej zgody, oraz (ii) druga strona może przyłączyć się do obrony z własnymi doradcami i na własny koszt. W RAMACH NINIEJSZEJ UMOWY, ODSZKODOWANIE STANOWI JEDYNĄ FORMĘ ZADOŚĆUCZYNIENIA ZA NARUSZENIE PRAW WŁASNOŚCI INTELEKTUALNEJ STRONY TRZECIEJ PRZEZ KLIENTA LUB DROPBOX.
9. Wyłączenia. USŁUGI GWARANTOWANE SĄ „TAKIMI, JAKIMI SĄ”. W MAKSYMALNYM ZAKRESIE DOZWOLONYM PRZEZ PRAWO, O ILE NINIEJSZA UMOWA NIE STANOWI INACZEJ, ANI KLIENT ANI DROPBOX I JEGO PODMIOTY STOWARZYSZONE, DOSTAWCY I DYSTRYBUTORZY NIE UDZIELAJĄ ŻADNEJ GWARANCJI, WYRAŹNEJ, DOROZUMIANEJ LUB USTAWOWEJ, W TYM GWARANCJI PRZYDATNOŚCI HANDLOWEJ LUB PRZYDATNOŚCI DO OKREŚLONEGO CELU CZY GWARANCJI NIENARUSZALNOŚCI. KLIENT JEST ODPOWIEDZIALNY ZA UTRZYMYWANIE I WYKONYWANIE KOPII ZAPASOWYCH WSZELKICH PRZECHOWYWANYCH DANYCH.
10. Ograniczenie odpowiedzialności.
    1. Ograniczenie odpowiedzialności pośredniej. W PEŁNYM ZAKRESIE DOZWOLONYM PRZEZ PRAWO, Z WYJĄTKIEM ZOBOWIĄZANIA DO WYPŁATY ODSZKODOWANIA PRZEZ DROPBOX LUB KLIENTA, ANI KLIENT ANI DROPBOX I JEGO PODMIOTY STOWARZYSZONE, DOSTAWCY I DYSTRYBUTORZY NIE PONOSZĄ ODPOWIEDZIALNOŚCI NA MOCY NINIEJSZEJ UMOWY ZA (I) UBOCZNE, SPECJALNE, PRZYPADKOWE, WYNIKOWE, SKUTKUJĄCE ODSZKODOWANIEM RETORSYJNYM LUB NAWIĄZKĄ SZKODY LUB; (II) UTRATĘ DANYCH, DOCHODÓW LUB ZYSKÓW (W KAŻDYM PRZYPADKU NIEZALEŻNIE CZY BEZPOŚREDNICH CZY POŚREDNICH), NIEZALEŻNIE CZY STRONA ZOSTAŁA OSTRZEŻONA CZY NIE O MOŻLIWOŚCI WYSTĄPIENIA TAKICH SZKÓD I NAWET JEŚLI REKOMPENSATA NIE SPEŁNIA SWOJEGO PODSTAWOWEGO CELU.
    2. Ograniczenie kwoty odpowiedzialności. W MAKSYMALNYM ZAKRESIE PRZEWIDZIANYM PRZEZ PRAWO ŁĄCZNA ODPOWIEDZIALNOŚĆ DROPBOX W RAMACH NINIEJSZEJ UMOWY NIE PRZEKROCZY 100 000 USD ANI KWOTY ZAPŁACONEJ PRZEZ KLIENTA W CIĄGU 12 MIESIĘCY PRZED DATĄ POWSTANIA ZOBOWIĄZANIA.
11. Spory.
    1. Rozstrzyganie nieformalne. Dropbox chce rozwiązywać Twoje problemy bez uciekania się do formalnego postępowania prawnego. Przed złożeniem pozwu każda ze stron zobowiązuje się do próby rozwiązania sporu poprzez kontakt z drugą stroną za wykorzystaniem procedur zawiadamiania, o których mowa w sekcji 12(e). Jeśli spór nie zostanie rozstrzygnięty w ciągu 30 dni od daty złożenia wniosku, Klient ma prawo wszcząć przeciwko Dropbox formalne postępowanie.
    2. Zgoda na arbitraż. Klient i Dropbox zgadzają się rozwiązać wszelkie roszczenia związane z niniejszymi Warunkami lub Usługami za pomocą ostatecznego i wiążącego arbitrażu, z wyjątkiem poniższych przypadków. Amerykańskie Stowarzyszenie Arbitrażowe (AAA) będzie zarządzało procedurą arbitrażu na podstawie swoich Reguł arbitrażu handlowego. Arbitraż będzie miał miejsce w San Francisco (CA) w lub innym miejscu, na które obie strony pisemnie wyrażą zgodę.
    3. Wyjątki od Umowy arbitrażowej. Każda ze stron może wnieść pozew w federalnym lub stanowym sądzie hrabstwa San Francisco w stanie Kalifornia wyłącznie o zadośćuczynienie w postaci wezwania do zaprzestania nieuprawnionego użycia lub nadużycia Usług lub naruszenia praw własności intelektualnej bez wcześniejszego angażowania się w nieformalny proces zawiadamiania o sporze opisany powyżej. Zarówno Klient jak i Dropbox wyrażają zgodę na podleganie osobistej jurysdykcji tamtej lokalizacji.
    4. BRAK POZWÓW ZBIOROWYCH. Klient może rozwiązać spory z Dropbox tylko indywidualnie i nie może wnieść skargi w postaci pozwu łącznego, skonsolidowanego lub zbiorowego. Arbitraże zbiorowe, pozwy zbiorowe, działania prawnicze reprezentujące interes zbiorowy i konsolidacja z innymi arbitrażami nie są dozwolone.
12. Różne.
    1. Zmiana warunków. Dropbox zastrzega sobie prawo do zmiany Umowy i zobowiązuje się do udostępniania jej aktualnej wersji w witrynie Dropbox Business. Jeżeli zmiana leżąca w wyłącznej gestii Dropbox jest istotna, Dropbox powiadomi Klienta (np. wysyłając e-mail na adres powiązany z jego kontem). O innych zmianach Dropbox poinformuje na blogu lub stronie z Warunkami Umowy i obowiązkiem Klienta jest śledzenie zmian na tych stronach. Korzystanie z naszych Usług po wejściu w życie zmian jest równoznaczne z akceptacją nowej Umowy przez Klienta. Jeśli Klient nie wyraża zgody na nowe Warunki Umowy, może zrezygnować z Usług w terminie 30 dni od otrzymania powiadomienia o zmianach.
    2. Całość Umowy. Umowa, włącznie z fakturą Klienta i formularzem zamówienia do Dropbox (jeśli dotyczy) stanowi całość porozumienia między Klientem a Dropbox w odniesieniu do przedmiotu Umowy i jest nadrzędna i zastępuje wszelkie wcześniejsze lub teraźniejsze porozumienia i umowy, pisemne i ustne, dotyczące przedmiotu Umowy. W razie sprzeczności między dokumentami stanowiącymi Umowę nadrzędna jest: faktura Dropbox, formularz zamówienia Dropbox, Umowa.
    3. Obowiązujące prawo. NINIEJSZA UMOWA PODLEGA PRAWU KALIFORNII Z WYŁĄCZENIEM WYKLUCZAJĄCYCH SIĘ PRZEPISÓW.
    4. Klauzula salwatoryjna. W razie gdyby którekolwiek z postanowień niniejszej umowy było nieważne, strony umowy zastąpią nieważne postanowienie innym, niepodważalnym prawnie postanowieniem, które możliwie najwierniej oddaje zamierzony cel nieważnego postanowienia, a pozostałe warunki umowy pozostaną w mocy.
    5. Zawiadomienia. Zawiadomienia wysłane będą pocztą poleconą, lotniczą i priorytetową i uznawane są za dostarczone z chwilą odebrania. Zawiadomienia mogą być wysyłane do klienta e-mailem na wskazane adresy e-mail konta i uznaje się je za dostarczone z chwilą wysłania. Zawiadomienia do Dropbox należy przesłać do Dropbox, Inc. P.O. Box 77767, San Francisco, CA 94107, z kopią do działu prawnego (Legal Department).
    6. Zrzeczenie się praw. Zrzeczenie się jakiegokolwiek prawa nie stanowi odstąpienia od niniejszej Umowy.
    7. Cesja. Klient nie może dokonać cesji niniejszej Umowy lub praw lub obowiązków z niej wynikających bez pisemnej zgody Dropbox. Dropbox nie może scedować niniejszej Umowy bez powiadomienia Klienta, za wyjątkiem możliwości cesji niniejszej Umowy lub praw lub obowiązków z niej wynikających na podmiot zależny lub w związku z fuzją, przejęciem, restrukturyzacją przedsiębiorstw lub sprzedażą wszystkich lub większości aktywów bez powiadomienia Klienta Inne próby cesji lub przekazania są nieważne.
    8. Zakaz pośredniczenia. Między Dropbox a Klientem nie występuje stosunek partnerstwa czy przedstawicielstwa; obie strony są niezależnymi wykonawcami.
    9. Siła wyższa. Za wyjątkiem zobowiązań finansowych, ani Dropbox ani Klient nie ponoszą odpowiedzialności za nienależyte wykonanie niniejszej Umowy spowodowane przez okoliczności, które były poza kontrolą stron (np. klęski żywiołowe, działania wojenne lub terroryzm, zamieszki, sytuacja w miejscu pracy, działanie rządu i zakłócenia działania internetu).
    10. Brak innych beneficjentów. Strona trzecia nie może stać się beneficjentem niniejszej Umowy. Nie ograniczając postanowień niniejszego paragrafu, Użytkownicy końcowi Klienta nie są stroną trzecią w odniesieniu do praw Klienta w rozumieniu niniejszej Umowy.
    11. Ograniczenia eksportu. Eksport i re-eksport Danych Klienta poprzez Usługi podlega amerykańskim przepisom eksportowym, innym mającym zastosowanie ograniczeniom eksportowym lub embargo. Korzystanie z Usług jest zabronione w krajach, takich jak: Kuba, Iran, Korea Północna, Sudan i Syria lub krajach, na które Stany Zjednoczone nałożyły embargo i Klient musi zapewnić, że nie będzie korzystać z Usług w sposób naruszający ograniczenia eksportu lub embargo Stanów Zjednoczonych lub innych odpowiednich jurysdykcji. Klient musi zagwarantować, że usługi nie są świadczone osobom wymienionym w Tabeli zakazu zamówień Stanów Zjednoczonych, Entity List oraz na liście podmiotów objętych sankcjami.

Do celów Artykułu 26 (2) Dyrektywy 95/46/WE w odniesieniu do przekazywania danych osobowych podmiotom przetwarzającym dane mającym siedzibę w krajach trzecich, które nie zapewniają odpowiedniego poziomu ochrony danych

Nazwa organizacji przekazującej dane: Klient, który jest stroną Umowy Dropbox Business zawartej z Dropbox International Unlimited Company
( przekazujący dane)

oraz

Nazwa organizacji odbierającej dane: Dropbox, Inc.
Adres: 333 Brannan Street, San Francisco, CA 94107 USA
(podmiot odbierający dane)

osobno jako „strona” lub łącznie jako „strony”,

UZGODNIŁY następujące Klauzule Umowne (Klauzule), w celu powołania się na odpowiednie zabezpieczenia w zakresie ochrony prywatności oraz podstawowych praw i wolności osób fizycznych w ramach przekazywania danych przez przekazującego dane do odbierającego dane osobowe określone w Załączniku 1.

Na potrzeby Klauzul:

1. 'dane osobowe', 'szczególne kategorie danych', 'przetwarzać/przetwarzanie', 'kontroler'. 'podmiot przetwarzający', 'osoba, której dane dotyczą' oraz 'organ nadzorczy', mają takie samo znaczenie, jak określone w Dyrektywie 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 roku w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych ¹;
2. 'przekazujący dane ' oznacza administratora danych, który przekazuje dane osobowe;
3. 'odbierający dane' oznacza podmiot przetwarzający, który wyraża zgodę na otrzymywanie od przekazującego dane osobowe przeznaczone do przetworzenia w jego imieniu po transferze zgodnie z jego instrukcjami oraz warunkami i Klauzulami i który nie podlega systemowi kraju trzeciego zapewniającego odpowiednią ochronę w rozumieniu Artykułu 25(1) Dyrektywy 95/46/WE;
4. 'podwykonawca przetwarzania' oznacza jakikolwiek podmiot działający na zlecenie podmiotu odbierającego dane lub innego podwykonawcy przetwarzania realizującego zlecenie podmiotu odbierającego dane, który wyraża zgodę na otrzymywanie, od podmiotu odbierającego dane lub innego podwykonawcy przetwarzania realizującego zlecenie podmiotu odbierającego, danych osobowych przeznaczonych wyłącznie do ich przetworzenia w imieniu podmiotu przekazującego po przekazaniu zgodnie z instrukcjami tego ostatniego, warunkami ustalonymi w niniejszych Klauzulach i warunkami sporządzonej na piśmie umowy o podwykonawstwo;
5. 'właściwe prawo o ochronie danych ' oznacza prawodawstwo chroniące podstawowe prawa i wolności osób fizycznych, a w szczególności ich prawo do prywatności w odniesieniu do przetwarzania danych osobowych, właściwe dla administratora danych w państwie członkowskim, w którym podmiot przekazujący dane prowadzi działalność gospodarczą;
6. 'techniczne i organizacyjne środki ochrony' oznaczają takie środki, których celem jest ochrona danych osobowych przed przypadkowym lub bezprawnym zniszczeniem, przypadkową utratą, zmianą, nieupoważnionym ujawnieniem lub dostępem, w szczególności jeżeli przetwarzanie obejmuje przekazywanie danych za pomocą sieci oraz przed innymi niezgodnymi z prawem formami przetwarzania.

Szczegóły transferu, a w szczególności konkretne kategorie danych osobowych, w stosownych przypadkach, są określone w Załączniku nr 1, który stanowi integralną część Klauzul.

1. Osoba, której dotyczą dane, może żądać od podmiotu przekazującego dane wykonania niniejszej klauzuli, klauzuli 4 lit. b)–i), klauzuli 5 lit. a)–e) oraz lit. g)–j), klauzuli 6 pkt 1 i 2, klauzuli 7, klauzuli 8 pkt 2 i klauzuli 9–12, jako osoba trzecia, na rzecz której zawarto umowę.
2. Osoba, której dotyczą dane, może żądać od podmiotu odbierającego dane wykonania niniejszej klauzuli, klauzuli 5 lit. a)–e) oraz lit. g), klauzuli 6, klauzuli 7, klauzuli 8 pkt 2 i klauzul 9–12 w przypadkach, w których podmiot przekazujący dane przestał istnieć faktycznie lub formalnie. Jeżeli jednak na podstawie umowy lub z mocy prawa podmiot będący jego następcą przejął wszystkie zobowiązania prawne podmiotu przekazującego dane, skutkiem czego przyjął na siebie jego prawa i obowiązki, osoba, której dotyczą dane, może żądać wykonania wymienionych klauzul od tego następcy.
3. Osoba, której dotyczą dane, może żądać od podwykonawcy przetwarzania wykonania niniejszej klauzuli, klauzuli 5 lit. a)–e) oraz lit. g), klauzuli 6, klauzuli 7, klauzuli 8 pkt 2 i klauzul 9–12 w przypadkach, w których zarówno podmioty przekazujący, jak i odbierający dane przestały istnieć faktycznie lub formalnie albo stały się niewypłacalne. Jeżeli jednak na podstawie umowy lub z mocy prawa podmiot będący jego następcą przejął wszystkie zobowiązania prawne podmiotu przekazującego dane, skutkiem czego przyjął na siebie jego prawa i obowiązki, osoba, której dane dotyczą, może żądać wykonania wymienionych klauzul od tego następcy. Taka odpowiedzialność podwykonawcy przetwarzania wobec osoby trzeciej jest ograniczona do jego własnych czynności przetwarzania danych na podstawie niniejszych klauzul.
4. Strony nie sprzeciwiają się reprezentowaniu osoby, której dane dotyczą, przez stowarzyszenie lub inny organ, jeżeli takie jest wyraźne życzenie osoby, której dane dotyczą, i jeżeli zezwala na to prawo krajowe.

Podmiot przekazujący dane zgadza się na poniższe warunki i gwarantuje, że:

1. przetwarzanie danych, włącznie z samym ich przekazywaniem, odbywało się i będzie się nadal odbywało zgodnie z odpowiednimi przepisami właściwego prawa o ochronie danych (i w stosownych przypadkach było przedmiotem powiadomienia odpowiednich władz państwa członkowskiego, w którym podmiot przekazujący dane prowadzi działalność gospodarczą) oraz bez naruszenia odpowiednich przepisów tego państwa;
2. nakazał i będzie nakazywał podmiotowi odbierającemu dane podczas całego okresu świadczenia usług przetwarzania danych osobowych, przetwarzanie przekazywanych danych osobowych wyłącznie w imieniu podmiotu przekazującego dane oraz zgodnie z właściwym prawem o ochronie danych i z niniejszymi klauzulami;
3. podmiot odbierający dane zapewni wystarczające gwarancje w odniesieniu do technicznych i organizacyjnych środków bezpieczeństwa wyszczególnionych w Załączniku nr 2 do niniejszej umowy;
4. biorąc pod uwagę ocenę wymogów właściwego prawa o ochronie danych osobowych, środki bezpieczeństwa są odpowiednie do ochrony danych osobowych przed przypadkowym lub bezprawnym zniszczeniem, przypadkową utratą, zmianą, nieupoważnionym ujawnieniem lub dostępem, w szczególności jeżeli przetwarzanie obejmuje przekazywanie danych za pomocą sieci, oraz przed innymi niezgodnymi z prawem formami przetwarzania, a także że środki te zapewniają poziom bezpieczeństwa odpowiedni do ryzyka, jakie stanowi przetwarzanie i charakter danych podlegających ochronie, uwzględniając stan wiedzy w tej dziedzinie i koszty ich wdrożenia;
5. zapewni zgodność ze środkami bezpieczeństwa;
6. jeżeli przekazanie obejmuje szczególne kategorie danych, osoba, której dane dotyczą, została poinformowana lub będzie poinformowana przed przekazaniem lub jak najszybciej po przekazaniu o tym, że jej dane mogą być przekazane do państwa trzeciego, które nie zapewnia odpowiedniej ochrony w rozumieniu dyrektywy 95/46/WE;
7. prześle wszelkie zawiadomienia otrzymane od podmiotu odbierającego dane lub podwykonawcy przetwarzania na mocy klauzuli 5 lit. b) i klauzuli 8 pkt 3 do organu nadzorczego ds. ochrony danych, jeżeli podmiot przekazujący dane zdecyduje się kontynuować przekazywanie danych lub znieść zawieszenie;
8. na żądanie udostępni osobie, której dotyczą dane, kopię niniejszych klauzul, z wyjątkiem Załącznika 2, oraz skrócony opis środków bezpieczeństwa, a także kopię każdej umowy dotyczącej usług podwykonawstwa przetwarzania danych, która musi być zawarta zgodnie z niniejszymi klauzulami; jednakże w przypadku gdy klauzule lub umowa zawierają informacje handlowe, informacje te można usunąć;
9. w przypadku podwykonawstwa przetwarzania danych działalność związana z przetwarzaniem prowadzona jest zgodnie z klauzulą 11 przez podwykonawcę przetwarzania zapewniającego co najmniej ten sam poziom ochrony danych osobowych i praw osoby, której dane dotyczą, co podmiot odbierający dane zgodnie z niniejszymi klauzulami; oraz
10. zapewni zgodność z klauzulą 4 lit. a)–i).

Podmiot odbierający dane zgadza się na poniższe warunki i gwarantuje, że:

1. będzie przetwarzał dane osobowe wyłącznie w imieniu podmiotu przekazującego dane i zgodnie z jego instrukcjami oraz niniejszymi klauzulami; jeżeli z jakichkolwiek powodów nie może zapewnić takiej zgodności, zgadza się na natychmiastowe poinformowanie podmiotu przekazującego dane o niemożności spełnienia tego warunku, a podmiot przekazujący dane jest w takim przypadku uprawniony do zawieszenia przekazywania danych lub rozwiązania umowy;
2. nie ma powodu, by sądzić, że prawodawstwo mające do niego zastosowanie uniemożliwia mu wypełnianie instrukcji otrzymanych od podmiotu przekazującego dane i jego obowiązków wynikających z umowy oraz że w przypadku zmiany prawodawstwa, która może mieć istotne negatywne skutki dla gwarancji i obowiązków określonych w niniejszych klauzulach, zawiadomi o tym jak najszybciej podmiot przekazujący dane, który w takim przypadku jest uprawniony do zawieszenia przekazywania danych lub rozwiązania umowy;
3. wdrożył techniczne i organizacyjne środki bezpieczeństwa określone w Dodatku nr 2 przed rozpoczęciem przetwarzania przekazanych danych osobowych;
4. niezwłocznie powiadomi przekazującego dane o:
   1. jakichkolwiek prawnie wiążących wnioskach o ujawnienie danych osobowych ze strony organów ścigania, chyba że powiadomienie o takim wniosku jest zakazane, na przykład na mocy prawa karnego w celu zachowania poufności postępowań prowadzonych przez organy ścigania,
   2. jakimkolwiek przypadkowym lub nieupoważnionym dostępie; oraz
   3. jakimkolwiek żądaniu otrzymanym bezpośrednio od osób, których dotyczą dane, bez udzielenia odpowiedzi na to żądanie, chyba że został on w inny sposób upoważniony do takiego postępowania;
5. niezwłocznie i we właściwy sposób zajmie się wszystkimi zapytaniami ze strony podmiotu przekazującego dane, dotyczącymi przetwarzania przez siebie danych osobowych będących przedmiotem przekazania, oraz zastosuje się do zaleceń organów nadzorczych w odniesieniu do przetwarzania przekazywanych danych;
6. na żądanie podmiotu przekazującego dane przedstawi swoje urządzenia do przetwarzania danych w celu kontroli działalności związanej z przetwarzaniem danych objętej niniejszymi klauzulami, przeprowadzanej przez podmiot przekazujący dane lub organ kontrolny złożony z niezależnych członków i posiadający wymagane kwalifikacje zawodowe, związany obowiązkiem zachowania poufności, wybrany przez podmiot przekazujący dane, w stosownych przypadkach w porozumieniu z organem nadzorczym;
7. na żądanie udostępni osobie, której dane dotyczą, kopię niniejszych klauzul lub jakiejkolwiek istniejącej umowy dotyczącej podwykonawstwa przekazywania danych; jednakże w przypadku gdy klauzule lub umowa zawierają informacje handlowe, informacje te można usunąć, z wyjątkiem dodatku 2, który zostanie zastąpiony skróconym opisem środków bezpieczeństwa, w przypadkach, w których osoba, której dane dotyczą, nie jest w stanie uzyskać kopii od podmiotu przekazującego dane;
8. w przypadku podwykonawstwa przetwarzania danych poinformował wcześniej podmiot przekazujący dane i uzyskał jego uprzednią pisemną zgodę;
9. usługi przetwarzania danych przez podwykonawcę przetwarzania będą świadczone zgodnie z klauzulą 11;
10. niezwłocznie prześle podmiotowi przekazującemu dane kopię każdej umowy dotyczącej podwykonawstwa przetwarzania danych zawartej na podstawie niniejszych klauzul.

1. Strony uzgadniają, że każda osoba, której dotyczą dane, która poniosła szkodę w wyniku jakiegokolwiek naruszenia obowiązków, o których mowa w klauzuli 3 lub 11, przez którąkolwiek ze stron lub podwykonawcę przetwarzania, jest uprawniona do uzyskania odszkodowania za poniesioną szkodę od podmiotu przekazującego dane.
2. Jeżeli osoba, której dane dotyczą, nie jest w stanie wystąpić przeciw podmiotowi przekazującemu dane z roszczeniem o odszkodowanie zgodnie z pkt 1, wynikającym z naruszenia przez podmiot odbierający dane lub jego podwykonawcę przetwarzania któregokolwiek z ich obowiązków, o których mowa w klauzuli 3 lub klauzuli 11, ponieważ podmiot przekazujący dane przestał istnieć faktycznie lub formalnie lub stał się niewypłacalny, podmiot odbierający dane zgadza się na wystąpienie przez osobę, której dotyczą dane, z roszczeniem wobec podmiotu odbierającego dane, tak jakby był on podmiotem przekazującym dane; jeżeli jednak jakikolwiek podmiot będący jego następcą przejął na podstawie umowy lub z mocy prawa wszystkie zobowiązania prawne podmiotu przekazującego dane, osoba, której dane dotyczą, może egzekwować swoje prawa wobec tego następcy.
   Podmiot odbierający dane nie może powoływać się na naruszenie przez podwykonawcę przetwarzania jego obowiązków, aby uniknąć swojej własnej odpowiedzialności.
3. Jeżeli osoba, której dane dotyczą, nie jest w stanie wystąpić przeciw podmiotowi przekazującemu dane lub podmiotowi odbierającemu dane z roszczeniem, o którym mowa w pkt 1 i 2, wynikającym z naruszenia przez podwykonawcę przetwarzania któregokolwiek z obowiązków, o których mowa w klauzulach 3 lub klauzuli 11, ponieważ zarówno podmiot przekazujący, jak i odbierający dane przestały istnieć faktycznie lub formalnie lub stały się niewypłacalne, podwykonawca przetwarzania zgadza się na wystąpienie przez osobę, której dotyczą dane, z roszczeniem wobec niego w odniesieniu do jego własnych czynności przetwarzania danych na podstawie niniejszych klauzul, tak jakby był on podmiotem przekazującym lub odbierającym dane; jeżeli jednak jakikolwiek podmiot będący jego następcą przejął na podstawie umowy lub z mocy prawa wszystkie zobowiązania prawne podmiotu przekazującego lub odbierającego dane, osoba, której dotyczą dane, może egzekwować swoje prawa wobec tego następcy. Odpowiedzialność podwykonawcy przetwarzania jest ograniczona do jego własnych czynności przetwarzania danych zgodnie z niniejszymi klauzulami.

1. Podmiot odbierający dane zgadza się na to, że jeżeli osoba, której dotyczą dane, powołuje się wobec niego na prawa osoby trzeciej, na rzecz której zawarto umowę lub występuje o odszkodowanie za szkody na podstawie niniejszych klauzul, podmiot odbierający dane przyjmie decyzję osoby, której dane dotyczą, o:
   1. przekazaniu sporu do mediacji prowadzonej przez niezależną osobę lub, w stosownych przypadkach, organ nadzorczy;
   2. przekazaniu sporu do sądów w państwie członkowskim, w którym prowadzi działalność gospodarczą podmiot przekazujący dane.
2. Strony uzgadniają, że wybór osoby, której dotyczą dane, nie będzie naruszał jej materialnych lub proceduralnych praw do środków ochrony prawnej zgodnie z odrębnymi przepisami prawa krajowego lub międzynarodowego.

Klauzula 8

Współpraca z organami nadzorczymi

1. Podmiot przekazujący dane zgadza się dostarczyć kopię niniejszej umowy organowi nadzorczemu na jego żądanie lub jeżeli dostarczenie kopii jest wymagane na mocy właściwego prawa o ochronie danych.
2. Strony uzgadniają, że organ nadzorczy ma prawo do przeprowadzenia kontroli podmiotu odbierającego dane i jakiegokolwiek podwykonawcy przetwarzania, która ma ten sam zakres i podlega tym samym warunkom, jakie miałyby zastosowanie do kontroli podmiotu przekazującego dane na mocy właściwego prawa o ochronie danych.
3. Podmiot odbierający dane niezwłocznie informuje podmiot przekazujący dane o istnieniu przepisów mających zastosowanie do podmiotu odbierającego dane lub któregokolwiek z podwykonawców przetwarzania działających na jego zlecenie, które uniemożliwiałyby przeprowadzenie kontroli podmiotu odbierającego dane lub podwykonawcy przetwarzania na podstawie pkt 2. W takim przypadku podmiot przekazujący dane ma prawo podjąć środki przewidziane w klauzuli 5 lit. b).

Klauzule podlegają prawu państwa członkowskiego, w którym prowadzi działalność podmiot przekazujący dane.

Strony zobowiązują się do niedokonywania zmian lub modyfikacji niniejszych Klauzul. Nie wyklucza to dodawania przez strony w razie potrzeby klauzul dotyczących kwestii związanych z ich działalnością gospodarczą, pod warunkiem że nie są one sprzeczne z niniejszymi Klauzulami.

1. Podmiot odbierający dane nie podzleca czynności przetwarzania danych wykonywanych w imieniu podmiotu przekazującego dane na podstawie niniejszych Klauzul bez uprzedniej pisemnej zgody podmiotu przekazującego dane. Jeżeli podmiot odbierający dane podzleca wykonanie swoich obowiązków w ramach niniejszych klauzul za zgodą podmiotu przekazującego dane, czyni to wyłącznie na podstawie umowy pisemnej z podwykonawcą przetwarzania, która nakłada na podwykonawcę przetwarzania te same obowiązki, jakie spoczywają na podmiocie odbierającym dane w ramach niniejszych Klauzul³. Jeżeli podwykonawca przetwarzania nie wypełnia swoich obowiązków w zakresie ochrony danych w ramach takiej umowy pisemnej, podmiot odbierający dane ponosi pełną odpowiedzialność wobec podmiotu przekazującego dane za wykonanie obowiązków podwykonawcy przetwarzania na mocy takiej umowy.
2. Umowa pisemna zawarta między podmiotem odbierającym dane a podwykonawcą przetwarzania przed przekazaniem danych osobowych podwykonawcy przetwarzania obejmuje również klauzulę na rzecz osoby trzeciej, określoną w klauzuli 3, w odniesieniu do przypadków, w których osoba, której dotyczą dane, nie jest w stanie wystąpić z roszczeniem o odszkodowanie, o którym mowa w klauzuli 6 pkt 1 przeciw podmiotowi przekazującemu lub odbierającemu dane, ponieważ przestały one istnieć faktycznie lub formalnie lub stały się niewypłacalne, a żaden podmiot będący następcą nie przejął na podstawie umowy lub z mocy prawa wszystkich zobowiązań prawnych podmiotu przekazującego lub odbierającego dane. Taka odpowiedzialność podwykonawcy przetwarzania wobec osoby trzeciej jest ograniczona do jego własnych czynności przetwarzania danych na podstawie niniejszych Klauzul.
3. Postanowienia umowy, o której mowa w ust. 1, dotyczące aspektów ochrony danych w odniesieniu do podwykonawstwa przetwarzania, podlegają prawu państwa członkowskiego, w którym prowadzi działalność gospodarczą podmiot przekazujący dane.
4. Podmiot przekazujący dane prowadzi wykaz umów dotyczących podwykonawstwa przetwarzania danych zawartych na podstawie niniejszych klauzul, o których został poinformowany przez podmiot odbierający dane na postawie klauzuli 5 lit. j); wykaz ten podlega aktualizacji co najmniej raz do roku. Wykaz udostępnia się organowi nadzorczemu właściwemu dla podmiotu przekazującego dane.

Obowiązki po zakończeniu usług przetwarzania danych osobowych

1. Strony uzgadniają, że wraz z zakończeniem świadczenia usług przetwarzania danych podmiot odbierający dane i podwykonawca przetwarzania zwracają podmiotowi przekazującemu dane wszystkie przekazane dane osobowe i ich kopie lub niszczą wszystkie dane osobowe i poświadczają przekazującemu dane, że to uczynili, zgodnie z decyzją przekazującego dane, chyba że przepisy prawa obowiązujące podmiot odbierający dane uniemożliwiają mu zwrot lub zniszczenie wszystkich lub części przekazanych danych osobowych. W tym przypadku podmiot odbierający dane gwarantuje, że zapewni poufność przekazanych danych osobowych i nie będzie ich już aktywnie przetwarzał.
2. Podmiot odbierający dane lub podwykonawca przetwarzania gwarantują przedstawienie na żądanie podmiotu przekazującego dane lub organu nadzorczego urządzeń do przetwarzania danych do celów kontroli środków, o których mowa w ust. 1.

Terminy pisane wielką literą używane w sekcjach A do C i dodatkach, ale nie zdefiniowane w klauzulach będą miały znaczenie takie, jak w Umowie Dropbox Business pomiędzy przekazującym dane a Dropbox International Unlimited Company.

1. Audyt bezpieczeństwa. Podmiot odbierający dane utrzymuje certyfikaty ISO/IEC 27001:2013 oraz ISO/IEC 27018:2014, które zostały wydane przez niezależnego audytora strony trzeciej. Podmiot odbierający dane będzie poddawany regularnym audytom ISO/IEC 27001:2013 oraz ISO/IEC 27018 niezbędnym do utrzymania takich certyfikatów dla Usług w okresie ich świadczenia. Podmiot odbierający dane regularnie poddaje się audytom Organization Control 2 (SOC 2) typu II. Z zastrzeżeniem zobowiązań dotyczących poufności odbierającego dane, i nie więcej niż raz w roku, podmiot odbierający dane zapewni na pisemny wniosek przekazującego dane kopie raportu SOC 2 typu II. Podmiot odbierający dane udostępni nowe raporty SOC 2 po wypełnieniu, z zastrzeżeniem wymogów poufności podmiotu odbierającego dane. Podmiot odbierający dane regularnie weryfikuje swoje organizacje podwykonawcze, które podlegają audytom Standards for Attestation Engagements No. 16 (SSAE 16) / International Standard on Assurance Engagements No. 3402 (ISAE 3402) Service Organization Control 1 (SOC 1) Type II lub Service Organization Control 2 (SOC 2) Type II, których zadaniem jest ocenić projekt i skuteczność swoich zasad bezpieczeństwa, procedur i kontroli.

   Przekazujący dane zgadza się, że obowiązki odbierającego dane zawarte dalej w sekcji A w pełni zaspokajają prawa do audytu na podstawie Klazul 5(f) i 12(2).

2. Podwykonawstwo przetwarzania. Podmiot odbierający dane może zaangażować inne firmy w celu świadczenia ograniczonej części Usług (w tym usług wsparcia) w imieniu podmiotu odbierającego dane, a przekazujący dane zgadza się na podwykonawstwo przetwarzania danych osobowych do podwykonawców przetwarzania, jak opisano to w Klauzulach. Podmiot odbierający dane zapewni, że każdy podwykonawca przetwarzania będzie mieć dostęp do danych osobowych i możliwość korzystania z nich tylko w celu świadczenia Usług, jak określono to w pisemnej umowie pomiędzy podmiotem odbierającym dane a podwykonawcą przetwarzania. Przekazujący dane przyjmuje do wiadomości, że wszelkie wymogi mające zastosowanie do podmiotu odbierającego dane na podstawie niniejszych Klauzul w odniesieniu do umów z podwykonawcami przetwarzania powinny być spełnione w całości pod warunkiem, że umowa podwykonawstwa pomiędzy odbierającym dane i podwykonawcą przetwarzania zapewnia przynajmniej taki poziom ochrony danych, jaki jest wymagany w ramach Umowy Dropbox Business.
3. Odpowiedzialność. Klauzule podlegają ograniczeniom i wyłączeniom odpowiedzialności zawartymi w rozdziale „Ograniczenie odpowiedzialności” Umowy Dropbox Business, w sposób taki, że łączna odpowiedzialność odbierającego dane i Dropbox International Unlimited Company nie przekracza ograniczeń określonych w Umowie Dropbox Business. W celu uniknięcia wątpliwości przekazujący dane nie jest uprawniony do zadośćuczynienia zarówno od odbierającego dane jak i Dropbox International Unlimited Company w odniesieniu do tej samej szkody.

Niniejszy załącznik stanowi część Klauzul i musi zostać wypełniony i podpisany przez strony.

Zgodnie z procedurami krajowymi państwa członkowskie mogą uzupełniać niniejszy dodatek lub określić wszelkie niezbędne dodatkowe informacje, które należy zawrzeć w niniejszym dodatku.

Podmiot przekazujący dane

Podmiot przekazujący dane (proszę krótko scharakteryzować działalność związaną z przekazywaniem danych):

Klient Umowy Dropbox Business zawartej z Dropbox International Unlimited Company.

Podmiot odbierający dane

Podmiot odbierający dane (proszę krótko scharakteryzować działalność związaną z przekazywaniem danych):

Dropbox, Inc., globalny dostawca usług opartych na chmurze dla osób fizycznych i przedsiębiorstw. Dropbox, Inc., i jego podmioty zależne udostępniają stronę internetową, oprogramowanie i aplikacje mobilne, które pozwalają ludziom przechowywać pliki, synchronizować pliki pomiędzy wieloma urządzeniami i współpracować z innymi osobami. Dostęp do usługi Dropbox, Inc. można uzyskać także za pośrednictwem interfejsów programowania aplikacji (API).

Osoby, których dane dotyczą

Podmioty, których dotyczą przekazywane dane osobowe, należą do następujących kategorii (proszę wyszczególnić):

Użytkownicy końcowi podmiotu przekazującego dane i jego podmiotów zależnych, w tym pracownicy, konsultanci i wykonawcy podmiotu przekazującego dane, jak również wszelkie osoby współpracujące lub udostępniające tym użytkownikom końcowym korzystającym z usług świadczonych przez odbierającego dane.

Kategorie danych

Przekazane dane osobowe dotyczą następujących kategorii danych (proszę wyszczególnić):

Użytkownicy końcowi identyfikujące dane informacyjne i organizacyjne (zarówno online jak i offline), a także dokumenty, obrazy i inne treści lub dane w formie elektronicznej przechowywane lub przekazywane przez użytkowników końcowych za pośrednictwem usług podmiotu odbierającego dane.

Czynności przetwarzania

Przekazane dane osobowe będą podlegały następującym podstawowym czynnościom przetwarzania (proszę wyszczególnić):

Podmiot odbierający dane lub jego podwykonawca będą wykorzystywać i przetwarzać dane osobowe, a podmiot przekazujący dane instruuje podmiot odbierający dane w zakresie wykorzystania i przetwarzania danych osobowych w celu świadczenia Usług w ramach Umowy Dropbox Business.

Niniejszy załącznik stanowi część Klauzul i musi zostać wypełniony i podpisany przez strony.

Opis technicznych i organizacyjnych środków bezpieczeństwa wdrożonych przez podmiot odbierający dane zgodnie z klauzulą 4 lit. d) i klauzulą 5 lit. c) (lub załączonym dokumentem/przepisami):

Prywatność danych – kontakt

Osoba odpowiedzialna za prywatność danych podmiotu odbierającego dane dostępna jest pod adresem privacy@dropbox.com

Środki bezpieczeństwa

Podmiot odbierający dane wdrożył i będzie utrzymywał odpowiednie zabezpieczenia administracyjne, techniczne i fizyczne w celu ochrony danych osobowych zgodnie z opisem zawartym w Białej księdze bezpieczeństwa Dropbox Business (dostępnej począwszy od daty wejścia w życie pod adresem: https://www.dropbox.com/…/Security_Whitepaper.pdf i dodatkowo opisane poniżej. Podmiot odbierający dane może zaktualizować te środki bezpieczeństwa, od czasu do czasu, do najnowszej wersji dostępnej pod wyżej wymienionym adresem URL (lub innym adresem URL przekazanym przez podmiot odbierający dane), pod warunkiem jednak, że podmiot odbierający dane poinformuje podmiot przekazujący dane, jeśli odbierający dane aktualizuje środki bezpieczeństwa w sposób istotnie zmniejszający administracyjne, techniczne i fizyczne cechy zabezpieczające opisane tutaj lub w Dodatku 2.

1. Bezpieczeństwo usługi
   1. Architektura Dropbox. Usługa podmiotu odbierającego dane została opracowana z wykorzystaniem wielu warstw ochrony, włączając w to bezpieczne przesyłanie danych, szyfrowanie, konfigurację sieci, kontrolę z poziomu aplikacji,  rozproszone w skalowalnej i bezpiecznej infrastrukturze. Użytkownicy końcowi usługi podmiotu odbierającego dane mogą uzyskać dostęp do plików i folderów w dowolnym momencie z poziomu komputera, przeglądarki i urządzeń mobilnych (klientów). Klienty te łączą się z bezpiecznymi usługami, aby zapewnić dostęp do plików, umożliwiają współdzielenie plików z innymi i aktualizację połączonych urządzeń, gdy pliki są dodawane, zmieniane lub usuwane. Usługa może być wykorzystana i można do niej uzyskać dostęp za pomocą wielu interfejsów. Wszystkie z nich mają ustawienia i funkcje bezpieczeństwa, które przetwarzają i chronią dane, zapewniając jednocześnie łatwy dostęp. 
   2. Niezawodność. Usługa podmiotu odbierającego dane jest opracowana z użyciem wielu warstw redundancji, aby zabezpieczyć się przed utratą danych oraz w celu zapewnienia dostępności.
   3. Szyfrowanie. Aby chronić dane przesyłane między podmiotem przekazującym dane i odbierającym dane, podmiot odbierający dane używa Secure Sockets Layer (SSL)/Transport Layer Security (TLS) do przesyłania danych, tworząc bezpieczny tunel chroniony przez szyfrowanie 128-bitowym kluczem (lub dłuższym) Advanced Encryption Standard (AES). Dane nieaktywne plików Dropbox są szyfrowane za pomocą 256-bitowego klucza Advanced Encryption Standard (AES). Infrastruktura zarządzania kluczami u podmiotu odbierającego dane jest zaprojektowana z wykorzystaniem kontroli bezpieczeństwa na poziomie operacyjnym, technicznym i proceduralnym, z bardzo ograniczonym bezpośrednim dostępem do kluczy. Generowanie, wymiana i przechowywanie klucza są rozproszone, aby zapewnić zdecentralizowane przetwarzanie.
   4. Funkcje zarządzania użytkownikami. Użytkownicy końcowi usługi podmiotu odbierającego dane mają możliwość przywracania utraconych plików i odzyskiwania wcześniejszych wersji plików, co pozwala im śledzić i odtwarzać zmiany wprowadzane w tych plikach. Usługa podmiotu odbierającego dane pozwala na stosowanie procedury dwustopniowego uwierzytelniania, która daje dodatkową warstwę ochrony.
   5. Centra danych. Systemy korporacyjne i produkcyjne podmiotu odbierającego dane mieszczą się w centrach danych innych firm na terenie USA. Podmiot odbierający dane dokonuje przeglądu wszystkich raportów centrów danych firm podległych Service Organization Control (SOC) 1 i/lub SOC 2, z częstotliwością co najmniej roczną, w celu zapewnienia wystarczających środków bezpieczeństwa.
2. Bezpieczeństwo informacji.
   1. Zasady. Podmiot odbierający dane ustalił dokładny zestaw zasad bezpieczeństwa obejmujących obszary bezpieczeństwa informacji, bezpieczeństwa fizycznego, reagowanie na wypadki, dostęp logiczny, dostępu do obszaru produkcji fizycznej, zarządzania zmianą i wsparcia. Zasady te są weryfikowane i zatwierdzane co najmniej raz w roku. Personel podmiotu odbierający dane jest powiadamiany o zmianach w tych zasadach i jest szkolony z zakresu bezpieczeństwa.
   2. Zasady dotyczące personelu i dostępu. Wewnętrzne zasady podmiotu odbierającego dane wymagają procedur wdrożenia, które obejmują wywiad środowiskowy (jeśli dopuszczony przez lokalne przepisy), potwierdzenie znajomości zasad bezpieczeństwa, obwieszczania zmian polityki bezpieczeństwa i umów o zachowaniu poufności. Dostęp dla personelu jest natychmiastowo anulowany, gdy pracownik lub wykonawca opuszcza firmę. Podmiot odbierający dane stosuje techniczne kontrole dostępu oraz wewnętrzną politykę zapobiegającą niepożądanemu dostępowi do plików użytkownika przez pracowników lub wykonawców, jak również ma ograniczenia dostępu do metadanych i pozostałych informacji dotyczących kont użytkowników końcowych. W celu ochrony prywatności i bezpieczeństwa użytkowników końcowych tylko niewielka liczba pracodawców lub kontrahentów ma dostęp do środowiska, w którym przechowywane są pliki użytkownika końcowego. Zapis żądań dostępu, uzasadnień i zatwierdzeń jest rejestrowany przez zespół zarządzający, a dostęp jest zapewniany za pośrednictwem odpowiednich osób.
   3. Bezpieczeństwo sieci. Podmiot odbierający dane korzysta z technik zabezpieczeń sieciowych i monitoringu, zaprojektowanych tak, aby zapewnić wiele warstw ochrony i obrony. Podmiot odbierający dane stosuje techniki zabezpieczeń adekwatne do branży, w tym zapory sieciowe, monitorowanie bezpieczeństwa sieci i systemy wykrywania włamań, aby zapewnić, że tylko uprawniony ruch sieciowy jest w stanie dotrzeć do jego infrastruktury.
   4. Zarządzanie zmianami. Podmiot odbierający dane zapewnia, że wszelkie zmiany związane z bezpieczeństwem są zatwierdzone przed wdrożeniem ich w środowiskach produkcyjnych. Zmiany kodu źródłowego są inicjowane przez programistów, którzy chcieliby wnieść poprawkę do aplikacji lub usługi podmiotu odbierającego dane. Zmiany infrastruktur podmiotuy odbierającego dane są ograniczone tylko do osób upoważnionych. Zmiany dokonywane na poziomie aplikacji w usługach muszą przejść zautomatyzowane procedury testowe zapewnienia jakości (QA), aby sprawdzić, czy spełnione zostały wymagania dotyczące bezpieczeństwa. Pomyślne zakończenie procedur QA prowadzi do wdrożania zmian.
   5. Zgodność. Podmiot odbierający dane, dostawcy jego centrów danych i zarządzany usługodawca przechodzą regularne kontrole bezpieczeństwa, które są wykonywane przez niezależną stronę trzecią. Podmiot odbierający dane będzie niezmiennie uczestniczyć w regularnych kontrolach ISO/IEC 27001:2013 oraz ISO/IEC 27018:2014. Podmiot odbierający dane kontroluje również raporty SOC 1 i/lub SOC 2 u wszystkich firm podwykonawczych. W przypadku gdy raport SOC 1 i/lub SOC 2 podwykonawcy jest niedostępny, podmiot odbierający dane przeprowadza kontrole na miejscu w celu sprawdzenia, czy zabezpieczenia fizyczne, środowiskowe i operacyjne spełniają kryteria kontroli i wymogów związanych z umowami. Podmiot odbierający dane na bieżąco przeprowadza dodatkowe certyfikacje i atesty jakościowe, jeśli staną się dostępne u podwykonawcy.
3. Bezpieczeństwo fizyczne
   1. Infrastruktura. Fizyczny dostęp do obiektów organizacji podwykonawczych, w której znajdują się systemy produkcyjne są ograniczone do pracowników upoważnionych przez podmiot odbierający dane, wymaganych do wykonywania swoich zadań. Wszystkie osoby wymagające dodatkowego dostępu do urządzeń środowiska produkcyjnego otrzymują dostęp tylko za wyraźną zgodą odpowiedniego kierownictwa.
   2. Biuro. Podmiot odbierający dane zapewnia zespół ochrony fizycznej, który jest odpowiedzialny za egzekwowanie polityki bezpieczeństwa fizycznego i nadzorowanie bezpieczeństwa biur firmowych tego podmiotu. Dostęp do obszarów związanych z usługami korporacyjnymi jest ograniczony do upoważnionych pracowników za pośrednictwem wielopoziomowych ról przydzielanych przez system dostępu opartego o identyfikatory.